Pasos inmediatos

1. Aísla el dispositivo infectado: desconecta el wifi, el Ethernet y el Bluetooth.
2. No lo apagues: destruirás evidencia.
3. Documenta todo: capturas de pantalla, marcas de tiempo, archivos afectados.
4. Determina el alcance: averigua hasta dónde llegó el atacante antes de hacer cualquier otra cosa.
5. Confirma que tu entorno esté libre de malware antes de restaurar nada.
6. Restaura desde tu copia de seguridad limpia más reciente.
7. Restablece todas las credenciales, en especial las cuentas de administrador y de servicio.
8. Valida los sistemas antes de reconectarlos a la red.

No hagas esto

• Pagar el rescate
• Restaurar antes de contener la amenaza
• Saltarte el análisis de la causa raíz

Los atacantes cifran tus archivos y muestran una nota de rescate con instrucciones de pago. Paga, dicen, y recuperarás tus archivos. Tal vez.

Empresas, hospitales, escuelas e incluso usuarios domésticos pueden ser blanco de estos ataques. Los atacantes suelen exfiltrar datos sensibles y luego amenazan con publicar tu información privada en línea si no pagas. Algunos eliminarán tus archivos por completo si intentas una eliminación incorrecta. Toma estas amenazas en serio. El DBIR 2025 de Verizon encontró ransomware presente en el 44% de las brechas confirmadas, un aumento respecto al 32% anterior.

Entonces, ¿cómo eliminar ransomware de forma segura? La respuesta corta: con cuidado, de manera metódica y en el orden correcto.

Estas son algunas señales comunes que verás después de una infección:

• Extensiones de archivo desconocidas (por ejemplo, .locked, .encrypted, .crypted),
• Imposibilidad de acceder a archivos (documentos, imágenes, bases de datos) que antes se abrían sin problema
• La nota de rescate en sí, que suele ser un archivo de texto o HTML, pero también puede ser un cuadro de mensaje que aparece en tu escritorio o dentro de las carpetas afectadas
• Rendimiento lento del sistema mientras los cibercriminales cifran archivos en tus directorios
• Software antivirus y de seguridad deshabilitado o manipulado
• Tráfico de red hacia ubicaciones inusuales

Si te preguntas "¿cómo elimino ransomware ahora mismo?", empieza aquí.

Aísla el sistema

Apaga el wifi, desconecta el cable Ethernet y deshabilita el Bluetooth. Si otros sistemas muestran señales de infección, aíslalos también. No apagues los dispositivos todavía. Hacerlo puede dificultar la recuperación forense y destruir evidencia que necesitarás después.

Preserva la evidencia

Antes de ejecutar cualquier herramienta o restaurar cualquier archivo, documenta todo. Toma capturas de pantalla de la nota de rescate. Enumera los archivos y sistemas afectados. Registra las marcas de tiempo cuando sea posible. Si puedes, captura la memoria del sistema y los archivos de registro.

La evidencia te ayuda a determinar con qué variante estás lidiando, cómo entró el atacante y otra información que tu aseguradora, tu asesor legal y las autoridades te pedirán más adelante.

Determina el alcance

Los atacantes suelen pasar semanas moviéndose por tu red y escalando privilegios antes de activar el cifrado. El informe Cost of a Data Breach 2024 de IBM indica que el tiempo promedio de contención es de 64 días. Cuanto más rápido determines el alcance, más rápido se detiene ese reloj.

Si te preguntas cómo revertir el daño del ransomware después de que el cifrado ya comenzó, tus opciones dependen por completo de si existe un descifrador para tu variante y de qué tan limpios estén tus respaldos.

Restaura desde respaldos limpios

Asegúrate de saber cómo eliminar por completo los ejecutables del ransomware y de que tu entorno esté totalmente libre de malware antes de restaurar los respaldos. Si te conectas a un sistema infectado, te volverás a infectar. Una vez que hayas verificado tu entorno, restaura desde tu respaldo limpio más reciente.

¿No tienes respaldos? Tus opciones se reducen rápidamente. Visita nomoreransom.org para ver si hay descifradores gratuitos disponibles para tu variante. Si no existe ninguno, considera contratar servicios forenses profesionales y empieza a documentar tu proceso para tu aseguradora. No pagues el rescate. Según Verizon, el 64% de las víctimas de ransomware se negó a pagar el año pasado, un aumento respecto al 50% de los dos años anteriores.

Restablece las credenciales

Los cibercriminales son astutos, y lo más probable es que también hayan robado tus contraseñas. Después de la contención, y antes de volver a habilitar cualquier sistema conectado, restablece todas las contraseñas, especialmente las de cuentas de administrador, cuentas de servicio y cualquier cuenta con privilegios elevados. Habilita la autenticación multifactor (MFA) siempre que sea posible.

Valida antes de reconectar

Asegúrate de que tus sistemas estén limpios antes de reconectarlos a tu red. Ejecuta tus soluciones de seguridad para endpoints, revisa si hay procesos maliciosos y tareas programadas, e investiga cómo pudo el atacante haber mantenido la persistencia.

Apresurar la fase de reconexión provoca más recuperaciones fallidas que casi cualquier otra cosa.

Saber cómo deshacerte del ransomware es solo parte del trabajo: los errores que cometas durante la eliminación pueden ser tan dañinos como el ataque mismo.

Omitir el análisis de causa raíz

Si no logras identificar cómo obtuvo acceso el atacante (correo de phishing, vulnerabilidad sin parchear, protocolo de escritorio remoto (RDP) expuesto), estás condenado a repetirlo.

Restaurar demasiado rápido

El tiempo de inactividad cuesta dinero, y la dirección lo sabe. Pero restaurar antes de haber contenido la amenaza o de saber con certeza que tu entorno está libre de malware puede borrar horas de trabajo de recuperación en minutos. Las organizaciones experimentan un promedio de 24 días de inactividad después de un ataque de ransomware, según Statista. Unas horas extra para validar tu entorno no son nada comparadas con eso.

¿Cuál es la mejor defensa contra el ransomware? No existe una sola, pero combinar lo siguiente con una Detección y respuesta para endpoints (EDR) proactiva te acercará lo más posible a lograrlo.

• Mantén copias de seguridad fuera de línea: Guarda las copias de seguridad fuera de línea o en almacenamiento cloud inmutable, aislado de tu red principal.
• Aplica parches de forma constante: Uno de los puntos de entrada más comunes son las vulnerabilidades sin parchar. El DBIR 2025 de Verizon encontró que, en todas las filtraciones, el abuso de credenciales (22%) y la explotación de vulnerabilidades (20%) son los principales vectores de ataque inicial, con el phishing frecuentemente muy cerca, sumando entre ambos alrededor del 42% de los caminos de acceso inicial conocidos.
• Filtra el correo electrónico: El phishing sigue siendo una de las formas más fáciles y comunes en que los atacantes logran un punto de apoyo persistente, incluso en campañas de ransomware.
• Aplica el principio de privilegio mínimo: No otorgues acceso administrativo donde no sea necesario.
• Implementa EDR: Una solución de EDR proactiva como Huntress está diseñada para detectar el comportamiento del ransomware a tiempo, interrumpir los ataques en tiempo real y contener las amenazas antes de que se propaguen por tus endpoints.

¿Se puede eliminar el ransomware? Sí, pero eliminarlo no basta. El ejecutable del malware se puede quitar de tu sistema, pero eso no descifra tus archivos ni cierra la puerta que usó el atacante para entrar.

¿Se puede eliminar el ransomware con un restablecimiento de fábrica? Un restablecimiento de fábrica elimina la infección de ransomware al borrar el sistema operativo, pero también borra todo lo demás, incluidos tus archivos cifrados. Si no tienes copias de seguridad limpias que puedas restaurar, un restablecimiento de fábrica pone tus datos en riesgo total y permanente.

¿Cuál es la mejor herramienta para eliminar ransomware? No existe una sola herramienta que funcione para todas las variantes. Una solución de EDR confiable se encarga de detectar y eliminar el malware en sí. Para la recuperación de archivos, revisa nomoreransom.org en busca de descifradores gratuitos antes de asumir que perdiste tus datos. Si es posible, recurre a un servicio profesional de respuesta a incidentes.

Huntress Managed EDR te permite detectar y contener ransomware rápidamente, investigar los endpoints afectados y remediar activamente puntos de apoyo maliciosos, todo respaldado por nuestro SOC centrado en IA disponible las 24 horas. Con nuestro equipo monitoreando tus endpoints las 24 horas, los 7 días de la semana, los 365 días del año, no tienes que armar los incidentes solo. Detectamos actividad maliciosa, mecanismos de persistencia y exposiciones riesgosas, y te guiamos paso a paso durante la remediación.

Obtén una demo de la plataforma de seguridad agéntica de Huntress y descubre qué podría estar escondido en tu entorno.